MIRROR: integridade por quórum multicaminho para proteger a comunicação entre agentes de IA
O artigo propõe o MIRROR, um mecanismo de integridade na camada de comunicação que combate ataques "Agent-in-the-Middle" (AiTM) em sistemas multiagente baseados em LLM, nos quais um intermediário manipula mensagens em trânsito sem precisar comprometer os próprios agentes. A técnica replica cada mensagem por várias rotas lógicas e só aceita o conteúdo quando a maioria estrita das rotas concorda no mesmo hash, sem depender de validação semântica cara nem de criptografia de transporte. Em testes com MMLU, HumanEval, MBPP e um deployment real via MetaGPT, o MIRROR reduziu a taxa de sucesso do ataque a 0% abaixo do limiar teórico de comprometimento, com custo de apenas 1x em tokens de LLM, contra 35x de um juiz baseado em LLM que ainda bloqueava até 44,2% de saídas legítimas.
Sistemas multiagente de LLM dependem fortemente da troca de mensagens entre agentes para coordenar tarefas, e esse canal de comunicação é exatamente o que o artigo trata como superfície de ataque pouco explorada. Os autores descrevem ataques "Agent-in-the-Middle" (AiTM), nos quais um intermediário malicioso intercepta e altera mensagens entre agentes legítimos sem nunca comprometer o modelo ou o agente em si, citando trabalhos anteriores que já reportaram taxas de sucesso de ataque próximas de 100% em tarefas estruturadas.
A solução proposta, MIRROR, funciona na camada de comunicação, não na camada semântica: cada mensagem (payload canonicalizado) é replicada em k rotas lógicas distintas, e o destinatário só aceita a mensagem quando a maioria estrita dessas rotas retorna o mesmo digest. O design é interessante porque o hash usado não é uma função de autenticação — um adversário ativo no caminho pode recalcular o digest sobre o payload que ele mesmo alterou. Toda a garantia de integridade vem da suposição de que a maioria das rotas é honesta (quórum); o digest serve apenas para tornar as rotas testemunhas de tamanho constante e vincular o payload recuperado ao valor acordado pelo quórum. Os autores formalizam essa garantia sob um limite de rotas comprometidas alpha menor que 0,5, e estendem a análise para rotas correlacionadas, mostrando que o que importa não é o número total de rotas, mas o tamanho do maior grupo de rotas que falha de forma correlacionada.
A relevância prática do MIRROR está no custo-benefício frente às alternativas existentes. Validação semântica, como um segundo LLM atuando como juiz, pode detectar manipulação, mas exige inferência adicional — os autores medem 35x mais custo em tokens no deployment de produção testado — e ainda assim bloqueia até 44,2% das saídas benignas nos testbeds de topologia, um custo de falsos positivos que pode inviabilizar o uso em produção. Criptografia de transporte (TLS), por sua vez, não cobre o caso em que o intermediário é quem termina legitimamente a conexão TLS, como ocorre em muitas arquiteturas de orquestração de agentes.
Para quem constrói pipelines multiagente, o artigo mostra que proteger apenas o conteúdo das mensagens via criptografia de transporte não é suficiente quando o próprio intermediário de rede é parte legítima da arquitetura. Um primitivo de integridade barato, independente de semântica, é um complemento relevante às defesas baseadas em julgamento de conteúdo.